Autenticação Segura, MFA e Tecnologias sem Senha

radio_button_uncheckedshort_text Introdução

A autenticação nasceu da necessidade de provar que uma pessoa era realmente quem afirmava ser. Nos primeiros sistemas, essa prova era quase sempre uma senha armazenada e comparada pelo computador. À medida que redes corporativas, serviços de internet e aplicações em nuvem se expandiram, uma única informação memorizada deixou de ser suficiente: senhas passaram a ser reutilizadas, roubadas por phishing, adivinhadas por ataques automatizados e expostas em vazamentos. Esse contexto impulsionou a autenticação multifator e, mais recentemente, credenciais criptográficas sem senha.

Para o leitor, compreender autenticação segura significa entender a primeira barreira que protege contas, dados e serviços. Para a sociedade, métodos mais fortes reduzem fraude, invasão de contas, interrupção de serviços e exposição de informações pessoais. O tema também tem efeito direto sobre produtividade: uma autenticação bem desenhada protege sem transformar cada entrada em um processo confuso.

Neste capítulo, a pergunta central não será apenas “qual método existe?”, mas “qual ameaça ele reduz, em qual etapa ele atua e quais limitações permanecem?”. Ao final, você conseguirá analisar uma entrada no Microsoft Entra ID como um fluxo completo: registro do método, prova da identidade, avaliação de políticas, emissão de token , recuperação da conta e auditoria.

radio_button_uncheckedshort_text 1. Autenticação no contexto da identidade digital

Identificação é a afirmação de uma identidade, normalmente por nome de usuário, endereço de e-mail ou UPN. Autenticação é o processo que verifica essa afirmação por meio de uma credencial. Autorização ocorre depois e determina quais ações a identidade autenticada pode executar. Administração de identidades mantém contas, métodos, permissões e ciclo de vida. Confundir esses conceitos leva a erros clássicos: um usuário pode ser autenticado corretamente e, ainda assim, não estar autorizado a abrir determinado recurso.

Ponto de prova

Autenticação não concede permissão por si só. Ela fornece uma identidade verificada para que controles de autorização, como funções e políticas, tomem a decisão de acesso.

radio_button_uncheckedshort_text 2. Breve evolução: da senha às credenciais resistentes a phishing

A senha se tornou dominante porque era barata, simples de implementar e fácil de transportar entre sistemas. Entretanto, sua segurança depende da capacidade humana de criar e proteger um segredo. Usuários tendem a reutilizar padrões, e atacantes exploram essa previsibilidade com força bruta, password spray, credential stuffing e phishing. Sistemas também tiveram de evoluir na forma de armazenar senhas, usando funções de hash e técnicas de proteção em vez de texto simples.

A autenticação multifator adicionou uma segunda categoria de prova. Depois, smartphones popularizaram notificações e códigos temporários. O passo seguinte foi retirar a senha do fluxo principal e usar criptografia assimétrica, com uma chave privada protegida no dispositivo e uma chave pública registrada no provedor de identidade. FIDO2 , passkeys e Windows Hello for Business pertencem a essa evolução e oferecem resistência superior a páginas falsas de login.

radio_button_uncheckedshort_text 3. Fatores de autenticação

Um fator é uma categoria de evidência utilizada para provar identidade. Os três fatores clássicos são conhecimento, posse e inerência. MFA exige dois ou mais fatores independentes; realizar duas verificações da mesma categoria pode aumentar atrito, mas não produz a mesma proteção de uma combinação realmente multifator.

3.1 Algo que você sabe

Inclui senha, PIN e outras informações memorizadas. O valor do fator depende de ele ser secreto e difícil de adivinhar. No Windows Hello for Business e em chaves FIDO2 , o PIN não é uma senha enviada ao servidor: ele desbloqueia localmente uma chave privada vinculada ao autenticador. Essa diferença é importante para o SC-900.

3.2 Algo que você tem

É a posse de um autenticador, como telefone registrado, token OATH, cartão inteligente ou chave de segurança. A posse isolada nem sempre basta; métodos fortes exigem também presença, PIN ou biometria. Um celular pode receber SMS, gerar TOTP, armazenar uma passkey ou aprovar uma notificação - são mecanismos diferentes usando o mesmo dispositivo físico.

3.3 Algo que você é

Biometria representa características físicas ou comportamentais. Em soluções modernas, a impressão digital ou o rosto geralmente desbloqueia uma credencial local; o serviço em nuvem recebe uma prova criptográfica, não a imagem biométrica. Assim, a biometria costuma ser parte de um autenticador ligado ao dispositivo, e não um dado enviado ao Microsoft Entra ID para comparação centralizada.

3.4 Sinais de contexto não são automaticamente fatores

Localização, endereço IP , conformidade do dispositivo, risco e comportamento podem influenciar uma decisão de Acesso Condicional . Eles são sinais importantes, mas não devem ser confundidos com os fatores clássicos de autenticação. Uma política pode usar esses sinais para exigir MFA , bloquear a entrada ou aceitar um método mais forte.

radio_button_uncheckedshort_text 4. Métodos de autenticação do Microsoft Entra ID

O Microsoft Entra ID oferece métodos para autenticação primária, MFA , SSPR e recuperação. Nem todo método serve a todas as finalidades. Um método pode ser aceito como primeiro fator, como segundo fator, como prova de recuperação ou em mais de uma dessas etapas. A política de métodos define quais usuários e grupos podem registrar e usar cada opção.

Atenção

A tabela é conceitual e não substitui a matriz oficial de compatibilidade. O uso exato de cada método para entrada, MFA , SSPR ou recuperação depende da política, do licenciamento, do tipo de conta e da atualização do serviço.

radio_button_uncheckedshort_text 5. Senhas: funcionamento, valor e limitações

A senha continua presente porque funciona em praticamente qualquer dispositivo e aplicativo. Ela pertence ao fator de conhecimento e pode iniciar uma entrada moderna no Microsoft Entra ID . No entanto, uma senha forte não elimina riscos de phishing, malware, reutilização ou vazamento. Por isso, a estratégia recomendada é combinar proteção de senha, MFA e migração progressiva para métodos sem senha e resistentes a phishing.

5.1 Senha forte não é sinônimo de senha impossível de comprometer

Comprimento, imprevisibilidade e exclusividade tornam a senha mais resistente a adivinhação. Ainda assim, uma página falsa pode capturar uma senha excelente. Da mesma forma, uma senha reutilizada em outro serviço pode ser testada por credential stuffing. A defesa precisa considerar o modo de ataque, não apenas complexidade.

5.2 Hash de senha e autenticação

Serviços seguros não precisam armazenar senhas em texto simples. Uma função de hash transforma a entrada em um valor derivado. Em identidade híbrida com Password Hash Synchronization , o processo não copia a senha legível para a nuvem; um hash derivado do hash do Active Directory é sincronizado para permitir validação no Microsoft Entra ID . Esse tema foi introduzido no capítulo anterior e se conecta à autenticação segura.

radio_button_uncheckedshort_text 6. Autenticação multifator do Microsoft Entra

Microsoft Entra MFA exige uma forma adicional de verificação quando uma política determina que a entrada precisa de mais confiança. O requisito pode ser aplicado por padrões de segurança, Acesso Condicional , políticas de risco, configuração por usuário ou outras integrações. O resultado não é simplesmente “pedir um código”: o serviço avalia o método usado e se ele satisfaz o requisito definido.

6.1 MFA e step-up authentication

Uma sessão pode começar com um nível de confiança e exigir autenticação adicional quando o usuário tenta uma ação sensível. Esse aumento de garantia é chamado de step-up authentication. Por exemplo, ler um portal pode ser permitido com a sessão atual, enquanto alterar configurações administrativas exige um método de MFA ou uma força de autenticação resistente a phishing.

6.2 MFA não significa solicitação em toda entrada

Políticas podem considerar sessão existente, frequência de entrada, dispositivo, risco, local e aplicativo. Portanto, um usuário habilitado para MFA nem sempre recebe um desafio a cada autenticação. No exame, “usuário usa MFA ” significa que o ambiente pode exigir uma prova adicional conforme a política, não que todo acesso necessariamente mostra duas telas.

6.3 MFA por usuário, padrões de segurança e Acesso Condicional

radio_button_uncheckedshort_text 7. Microsoft Authenticator

O Microsoft Authenticator é um aplicativo móvel para Android e iOS que pode participar de MFA , SSPR , entrada sem senha e passkeys. O mesmo aplicativo suporta mecanismos distintos; por isso, é importante identificar qual experiência está sendo usada em uma questão.

7.1 Notificações push para MFA

O usuário recebe uma solicitação no telefone e aprova ou nega. Number matching apresenta um número na tela de entrada e exige que o usuário o informe no aplicativo, reduzindo aprovações por hábito. Informações adicionais, como nome do aplicativo e localização aproximada, ajudam a reconhecer solicitações inesperadas.

7.2 Códigos de verificação OATH TOTP

O aplicativo também gera códigos temporários baseados em tempo. O código muda periodicamente e é digitado na interface de entrada. Esse método funciona mesmo quando o telefone não recebe uma notificação de dados naquele instante, pois o código é calculado localmente a partir de um segredo compartilhado e do tempo.

7.3 Entrada sem senha pelo aplicativo

No phone sign-in, o usuário informa a identidade e responde no Authenticator usando o dispositivo registrado, PIN ou biometria. A autenticação é baseada em chave, não no envio de uma senha. Passkeys no Authenticator ampliam a experiência FIDO2 e oferecem resistência a phishing ao vincular a autenticação ao serviço legítimo.

7.4 Fadiga de MFA

Em ataques de MFA fatigue, o invasor já possui a senha e dispara muitas solicitações esperando que o usuário aprove uma delas. Number matching , contexto da solicitação, treinamento e bloqueio de entradas suspeitas reduzem esse risco. O melhor controle é impedir que métodos aprováveis por engano sejam a única barreira para recursos críticos, usando autenticação resistente a phishing quando possível.

radio_button_uncheckedshort_text 8. Códigos temporários, OATH e tokens de hardware

OATH é uma família de padrões para senhas de uso único. TOTP cria códigos com base no tempo; HOTP cria códigos com base em contador. Em ambientes Microsoft Entra , aplicativos autenticadores normalmente usam TOTP. Tokens de hardware OATH produzem códigos sem depender de smartphone e podem atender setores com restrições operacionais.

Diferença importante

Código de uso único reduz reutilização direta, mas não garante resistência a phishing. Um invasor em posição intermediária pode capturar e usar um OTP em tempo real. FIDO2 evita esse problema ao vincular a prova criptográfica ao domínio correto.

radio_button_uncheckedshort_text 9. SMS, chamadas de voz e autenticação baseada em telefone

SMS e voz são métodos de posse do telefone ou número registrado. Eles podem ser úteis para inclusão, transição e recuperação, mas oferecem menor garantia do que métodos criptográficos. O número pode ser transferido fraudulentamente, chamadas podem ser redirecionadas e mensagens podem ser expostas em dispositivos bloqueados inadequadamente.

O Microsoft Entra também pode oferecer entrada baseada em SMS para cenários específicos, como trabalhadores de linha de frente: o usuário entra com número registrado e código, sem senha tradicional. Essa modalidade é diferente de usar SMS apenas como segundo fator após uma senha. Para recursos sensíveis, a Microsoft recomenda migrar para métodos resistentes a phishing, como FIDO2 , Windows Hello for Business ou autenticação baseada em certificado.

radio_button_uncheckedshort_text 10. O que significa autenticação sem senha

Passwordless authentication remove a senha do fluxo principal. Em vez de provar conhecimento de um segredo compartilhado, o usuário comprova posse de uma chave privada e realiza um gesto local, como PIN, biometria ou toque. O servidor registra a chave pública e valida uma assinatura sobre um desafio. A chave privada permanece protegida no autenticador.

Sem senha não significa autenticação de fator único. Windows Hello for Business , Authenticator e FIDO2 normalmente combinam posse do dispositivo ou chave com PIN ou biometria. A experiência é mais simples porque o usuário não digita uma senha reutilizável, enquanto a segurança é superior porque não existe um segredo compartilhado que possa ser capturado por uma página falsa.

radio_button_uncheckedshort_text 11. Windows Hello for Business

Windows Hello for Business substitui senhas em dispositivos Windows por autenticação forte baseada em chave. Durante o provisionamento, uma chave pública é associada à identidade e a chave privada fica protegida no dispositivo, frequentemente com TPM. O usuário desbloqueia essa chave com PIN ou biometria. O PIN é local ao dispositivo: conhecer o PIN sem possuir o equipamento não permite autenticação em outro computador.

11.1 Biometria e PIN como gestos locais

A impressão digital ou o reconhecimento facial não viajam para o Microsoft Entra ID . Eles desbloqueiam o material criptográfico local. O PIN funciona como alternativa ou requisito de recuperação local. Essa arquitetura limita o valor de um dado capturado: não há uma senha universal reutilizável em muitos serviços.

11.2 Relação com SSO

Após a entrada no Windows, o dispositivo pode obter tokens que proporcionam logon único em aplicativos corporativos. O usuário experimenta menos solicitações, mas a organização continua aplicando políticas de identidade, conformidade do dispositivo e autorização.

radio_button_uncheckedshort_text 12. Chaves de segurança FIDO2 e passkeys

FIDO2 combina WebAuthn e CTAP para autenticação com criptografia de chave pública. Uma chave de segurança física pode ser conectada por USB, NFC ou outro meio compatível. Passkey é uma credencial FIDO baseada em chave que pode residir em um dispositivo, gerenciador ou aplicativo compatível. No Microsoft Entra , a política de passkeys/ FIDO2 controla registro e uso.

12.1 Por que FIDO2 é resistente a phishing

A credencial é vinculada ao site ou relying party correto. Uma página falsa em domínio diferente não consegue solicitar uma assinatura válida para o domínio legítimo. Além disso, a chave privada não é transmitida. Isso reduz phishing tradicional e ataques adversary-in-the-middle que dependem de capturar senha e OTP.

12.2 Chave física versus passkey de plataforma

A chave física é portátil e útil em computadores compartilhados. Uma passkey de plataforma pode permanecer protegida pelo hardware e pela conta do dispositivo. A escolha depende do perfil do usuário, requisitos de recuperação, portabilidade e política organizacional. Para o SC-900, o ponto central é que ambos usam FIDO2 e eliminam a senha reutilizável do fluxo.

radio_button_uncheckedshort_text 13. Biometria: benefícios e cuidados

Biometria melhora conveniência porque o usuário não precisa memorizar um segredo complexo. Entretanto, dados biométricos não podem ser “trocados” como uma senha. Por isso, arquiteturas seguras evitam enviar modelos biométricos ao provedor de identidade e os utilizam para desbloquear uma chave protegida localmente.

Biometria também deve ter alternativa, como PIN, para acessibilidade e falhas de sensor. Organizações precisam considerar privacidade, proteção do dispositivo, qualidade do sensor e políticas locais. No Microsoft Entra , o serviço normalmente recebe a prova da chave, não o dado biométrico bruto.

radio_button_uncheckedshort_text 14. Temporary Access Pass - TAP

A Passagem de Acesso Temporária é uma credencial limitada por tempo, configurável para uso único ou múltiplas entradas dentro de um período. Ela resolve um problema de bootstrap: como registrar um método sem senha forte quando o usuário ainda não possui MFA configurado? O administrador emite uma TAP , o usuário entra e registra FIDO2 , Windows Hello for Business ou outro método permitido.

TAP também auxilia recuperação quando o autenticador forte foi perdido. Como é temporária, deve ser emitida com duração mínima, entregue por canal confiável e auditada. Ela não substitui permanentemente os métodos normais e não deve ser tratada como uma senha estática.

radio_button_uncheckedshort_text 15. Política de métodos e pontos fortes de autenticação

A política de métodos de autenticação permite habilitar opções para grupos específicos e configurar parâmetros. Isso ajuda a migrar de métodos fracos para fortes sem liberar tudo para todos de uma vez. O registro combinado permite que informações de MFA e SSPR sejam administradas em uma experiência única de informações de segurança.

15.1 Authentication strengths

Um ponto forte de autenticação é um controle de Acesso Condicional que especifica quais métodos ou combinações atendem à política. Uma regra pode exigir “ MFA ” em geral, enquanto outra exige métodos resistentes a phishing. Assim, a organização pode evitar que SMS satisfaça o requisito de um aplicativo crítico, mesmo que SMS esteja habilitado para outros usos.

15.2 Registro, uso e recuperação são etapas diferentes

Habilitar um método não significa que todos os usuários já o registraram. Registrar não significa que ele será exigido em toda entrada. E um método aceito para MFA pode não ser aceito para SSPR . Questões de prova frequentemente exploram essas diferenças operacionais.

radio_button_uncheckedshort_text 16. Padrões de segurança do Microsoft Entra

Security defaults fornecem uma linha de base pronta para tenants que precisam de proteção essencial sem desenhar políticas complexas. Eles exigem registro para MFA , protegem administradores e atividades privilegiadas, solicitam MFA quando necessário e bloqueiam protocolos de autenticação herdados. A configuração é essencialmente ligada ou desligada, com pouca granularidade.

Organizações com requisitos de exceção, grupos, aplicativos, risco ou localização normalmente usam Acesso Condicional com licenciamento adequado. Ao migrar, as políticas precisam substituir as proteções da linha de base; simplesmente desativar security defaults sem controles equivalentes reduz a postura de segurança.

Atualização relevante

A documentação oficial consultada em julho de 2026 inclui o bloqueio do fluxo de código do dispositivo nos padrões de segurança para novos tenants. Como serviços de nuvem evoluem, confirme sempre o comportamento atual no Microsoft Learn antes de uma implantação real.

radio_button_uncheckedshort_text 17. Self-Service Password Reset - SSPR

SSPR permite que usuários alterem ou redefinam a própria senha e, em alguns cenários, desbloqueiem a conta sem intervenção do help desk. A solução reduz chamadas, tempo de indisponibilidade e custo operacional. Para ser segura, depende de registro prévio de métodos, número mínimo de provas e políticas adequadas.

17.1 Alterar, redefinir e desbloquear

Alterar senha normalmente ocorre quando o usuário conhece a senha atual. Redefinir é utilizado quando a senha foi esquecida ou precisa ser substituída após comprovação alternativa. Desbloquear libera uma conta bloqueada conforme configuração. Embora a interface possa reunir as experiências, os eventos têm significados e políticas diferentes.

17.2 Métodos e número de verificações

O administrador define os métodos aceitos e quantos são necessários para redefinir. Exigir dois métodos aumenta garantia, mas exige que usuários registrem opções suficientes. A recomendação operacional é oferecer redundância para evitar que a perda de um telefone impeça toda recuperação.

17.3 Password writeback em ambiente híbrido

Quando configurado e licenciado, password writeback envia a alteração ou redefinição realizada na nuvem de volta ao Active Directory local. A nova senha precisa obedecer às políticas locais. Isso oferece uma experiência única para usuários híbridos e mantém a senha coerente entre os ambientes.

radio_button_uncheckedshort_text 18. Proteção e gerenciamento de senhas

18.1 Lista global de senhas proibidas

Microsoft Entra Password Protection utiliza uma lista global mantida pela Microsoft para bloquear senhas fracas, comuns ou comprometidas e suas variantes. A avaliação considera substituições previsíveis e padrões, portanto trocar uma letra por número nem sempre contorna a proteção.

18.2 Lista personalizada

A organização pode adicionar termos próprios, como nome da empresa, produtos, localidades ou slogans que não deveriam aparecer em senhas. O objetivo não é criar uma lista de todas as possibilidades, mas bloquear palavras muito prováveis no contexto corporativo.

18.3 Proteção no Active Directory local

Agentes de Microsoft Entra Password Protection podem estender a lista global e personalizada a controladores de domínio do AD DS . Isso ajuda a aplicar uma política consistente em identidades híbridas. A implantação exige componentes locais e planejamento de alta disponibilidade.

18.4 Smart lockout

Bloqueio inteligente ajuda a impedir adivinhação e força bruta. O serviço procura diferenciar padrões de usuários legítimos e atacantes, bloqueando tentativas suspeitas sem produzir indisponibilidade desnecessária. Ele também pode proteger ambientes híbridos ao filtrar ataques antes que atinjam o AD DS , quando configurado adequadamente.

18.5 Senhas vazadas e risco

A proteção de senha impede escolhas fracas no momento de criação ou alteração, enquanto serviços de proteção de identidade podem detectar credenciais vazadas e risco de usuário. São controles complementares. Uma senha anteriormente aceita pode se tornar perigosa após exposição e exigir remediação.

radio_button_uncheckedshort_text 19. Ataques comuns e controles correspondentes

Raciocínio de arquitetura

Nenhum método elimina todos os riscos. Escolha camadas: método forte, política, proteção do dispositivo, recuperação segura, monitoramento e ciclo de vida. O melhor método perde valor se o canal de recuperação for fraco.

radio_button_uncheckedshort_text 20. Cenário prático integrado

A Contoso possui funcionários administrativos, operadores de chão de fábrica, prestadores temporários e administradores de nuvem. A empresa quer reduzir phishing e chamados de senha sem impedir o trabalho. Uma estratégia possível é organizar pessoas e recursos por risco.

1. Todos os usuários registram informações de segurança. Security defaults pode ser usado como linha de base inicial, ou Acesso Condicional quando a empresa precisa de políticas granulares.
2. Administradores usam chaves FIDO2 ou Windows Hello for Business e uma força de autenticação resistente a phishing para portais privilegiados.
3. Funcionários com notebooks corporativos usam Windows Hello for Business , com PIN ou biometria local e SSO para aplicativos.
4. Operadores em estações compartilhadas usam chaves FIDO2 portáteis; tokens OATH de hardware permanecem como alternativa onde necessário.
5. Microsoft Authenticator com number matching é utilizado por usuários móveis durante a transição para passkeys.
6. SMS permanece apenas para grupos de baixo risco ou recuperação temporária, nunca como única opção para administradores.
7. TAP é emitida no primeiro dia para que novos usuários registrem métodos sem senha; a credencial expira rapidamente.
8. SSPR exige métodos suficientes e password writeback integra usuários sincronizados ao AD DS local.
9. A lista personalizada bloqueia nome da empresa e produtos; smart lockout e logs ajudam a detectar password spray.
10. Relatórios e logs são revisados para remover métodos antigos e identificar usuários ainda dependentes de senha.

Como responder à questão

Identifique primeiro o objetivo: MFA , passwordless , recuperação ou proteção de senha. Depois observe o perfil do usuário e a ameaça. Por fim, selecione o método e a política que satisfazem o requisito com menor risco e atrito aceitável.

radio_button_uncheckedshort_text 21. Revisão para o SC-900

21.1 Armadilhas conceituais frequentes

• PIN do Windows Hello for Business não é uma senha de domínio enviada ao servidor; ele desbloqueia uma chave no dispositivo.
• Biometria normalmente não é armazenada no Microsoft Entra ID ; ela desbloqueia a credencial local.
• Dois passos não garantem dois fatores se ambos pertencem à mesma categoria.
• OTP reduz reutilização, mas pode ser capturado por phishing em tempo real.
• MFA não significa que o usuário será desafiado em toda entrada.
• Passwordless não significa ausência de verificação; posse e gesto local podem fornecer dois fatores.
• Habilitar um método, registrá-lo e exigi-lo são ações diferentes.
• SSPR cuida de recuperação; Password Protection cuida da qualidade das novas senhas; smart lockout cuida de tentativas.
• Security defaults é uma linha de base simples; Acesso Condicional oferece granularidade.
• Um método pode servir para MFA e não servir para autenticação primária ou SSPR .

Resumo em uma frase

O Microsoft Entra fortalece a entrada combinando métodos, políticas, recuperação e proteção de senhas; a meta moderna é reduzir dependência de segredos reutilizáveis e exigir credenciais resistentes a phishing nos recursos de maior risco.

radio_button_uncheckedshort_text 22. Conclusão

A autenticação segura evoluiu de uma comparação simples de senhas para um sistema de garantias graduais. Fatores independentes elevam a confiança, políticas decidem quando exigir mais prova, e métodos criptográficos eliminam a senha reutilizável do fluxo. Microsoft Authenticator , OATH, tokens de hardware, Windows Hello for Business , FIDO2 e passkeys oferecem experiências diferentes para perfis e riscos diferentes.

SSPR e TAP mostram que segurança não termina na tela de entrada. Usuários precisam registrar métodos, recuperar contas e iniciar o uso de credenciais fortes sem depender de processos frágeis. Password Protection e smart lockout reduzem senhas previsíveis e ataques automatizados, enquanto security defaults fornece uma base inicial para tenants que ainda não possuem políticas avançadas.

Minha avaliação é que o conceito mais importante deste capítulo é a diferença entre “mais etapas” e “mais garantia”. Um código adicional pode melhorar a defesa, mas uma credencial vinculada ao dispositivo e ao domínio legítimo altera fundamentalmente o jogo contra phishing. Para o SC-900, dominar nomes e finalidades é necessário; para a prática profissional, o objetivo deve ser construir uma jornada de autenticação forte, recuperável, auditável e simples o bastante para ser realmente adotada.

Próximo passo da trilha

Depois de entender como uma identidade comprova quem é, o próximo capítulo estuda como o Microsoft Entra decide se ela pode acessar um recurso: Acesso Condicional , RBAC , funções, escopos e menor privilégio.

radio_button_uncheckedshort_text 23. Questões de revisão

1. Qual alternativa representa autenticação multifator de forma correta?

• A) Senha e pergunta secreta.
• B) Senha e PIN memorizado.
• C) Senha e chave de segurança FIDO2 .
• D) Dois códigos enviados por SMS ao mesmo telefone.

Gabarito comentado

Resposta correta: C. A senha é fator de conhecimento e a chave FIDO2 representa posse de um autenticador com prova criptográfica. As demais opções combinam evidências da mesma categoria ou do mesmo canal.

2. Qual afirmação descreve melhor o Windows Hello for Business ?

• A) Envia a impressão digital ao Microsoft Entra ID para comparação.
• B) Substitui a senha por uma chave ligada ao dispositivo, desbloqueada por PIN ou biometria.
• C) É um token OATH que gera códigos temporários.
• D) É uma política de redefinição de senha.

Gabarito comentado

Resposta correta: B. Windows Hello for Business usa autenticação baseada em chave. PIN e biometria são gestos locais que desbloqueiam a chave privada protegida no dispositivo.

3. Uma organização quer permitir que usuários redefinam a própria senha e sincronizar a nova senha com o Active Directory local. Quais recursos estão diretamente relacionados?

• A) Security defaults e FIDO2 .
• B) SSPR e password writeback .
• C) Smart lockout e number matching .
• D) OATH TOTP e Conditional Access .

Gabarito comentado

Resposta correta: B. SSPR permite a redefinição por autoatendimento; password writeback envia a alteração de volta ao AD DS quando a integração está configurada e licenciada.

4. Qual recurso é mais adequado para impedir que SMS satisfaça o requisito de um aplicativo crítico, exigindo apenas métodos resistentes a phishing?

• A) Lista personalizada de senhas proibidas.
• B) Smart lockout .
• C) Authentication strength em uma política de Acesso Condicional .
• D) MFA por usuário no modo legado.

Gabarito comentado

Resposta correta: C. Authentication strengths permitem definir quais combinações de métodos atendem ao controle de concessão, incluindo uma força resistente a phishing.

radio_button_uncheckedshort_text Glossário essencial

radio_button_uncheckedshort_text Referências oficiais e notas de atualização

O conteúdo foi elaborado com base no plano de estudos fornecido e em documentação oficial da Microsoft consultada em 23 de julho de 2026. Recursos de nuvem, nomes e requisitos podem mudar; use as páginas abaixo para validação antes de uma implantação.

• Microsoft Learn - Guia de estudos do exame SC-900
• Microsoft Learn - Describe the authentication capabilities of Microsoft Entra ID
• Microsoft Learn - Visão geral da autenticação do Microsoft Entra
• Microsoft Learn - Como funciona o Microsoft Entra multifactor authentication
• Microsoft Learn - Documentação de autenticação do Microsoft Entra
• Microsoft Learn - Microsoft Authenticator authentication method
• Microsoft Learn - Windows Hello for Business authentication method
• Microsoft Learn - Temporary Access Pass
• Microsoft Learn - Padrões de segurança do Microsoft Entra
• Microsoft Learn - Self-service password reset
• Microsoft Learn - Proteção de Senha do Microsoft Entra
• Microsoft Learn - Smart lockout
• Microsoft Learn - Pontos fortes de autenticação

Fontes oficiais consultadas em 23 de julho de 2026. Como os serviços de nuvem evoluem continuamente, detalhes de licenciamento, disponibilidade regional, nomes de menus e recursos em versão preliminar devem ser confirmados na documentação atual antes de uma implementação real.